Der sichere Betrieb von Notebooks und mobilen Systemen

Anforderungen und Umsetzung

Zunächst zu den Risiken, die letztendlich in Hinblick auf die zu schützenden Daten alle gleichwertig zu sehen sind:

(1) Diebstahl

Laptops sind gern gesehenes Diebsgut. So sind Fälle bekannt, in denen auch noch an den Gates eines Flughafens Laptops gestohlen wurden, während die Opfer telefonierten.

Ist ein Laptop ungesichert, so hat der Dieb mit dem Laptop auch den Datenbestand des Opfers in der Hand und kann diesen nach Belieben verwerten. Dem Autor dieses Artikels ist zumindest ein Fall bekannt, in dem einer Anzahl von Abteilungsleitern, die sich zum Tennis trafen, während des Spiels die Laptops aus den Kofferräumen Ihrer Fahrzeuge entwendet wurden. Gerade in Großbetrieben während heikler Projektphasen können solche Aktionen durchaus zum Repertoire des heutigen Wirtschaftskriminellen gezählt werden.

Beliebte Ziele im Datenbestand sind:

• Kalkulationsunterlagen
• Qualitätsmanagement-Unterlagen
• Interne Memos und Mails
• Die Kontaktliste in Outlook

(2) Datendiebstahl

Wie oben bereits ausgeführt kann ist der physikalische Diebstahl eines Laptops meist das kleinere Übel um Verhältnis zum Wert der verloren gegangen Daten bzw. der Tatsache, dass die Vertraulichkeit der Daten gravierend verletzt wurde. Es ist wichtig sich vor Augen zu halten, dass Datendiebstahl nicht unbedingt einen Diebstahl des Laptops voraussetzt.

Schon bei kurzer Abwesenheit kann jemand, der es gezielt darauf anlegt, wichtige Daten per Diskette oder USB-Speichergerät vom Rechner abziehen. Ist der Bildschirmschone nicht aktiviert, so reicht schon die kurze Unterbrechung zur Wahrung menschlicher Bedürfnisse im Kaffeehaus aus, um dem potentiellen Dieb eine Gelegenheit zu verschaffen.

Man sollte auch nicht außer Acht lassen, dass mitunter auch unerwünschte Blicke durchaus ein ernstzunehmendes Risiko darstellen können, wenn man in der Öffentlichkeit vertrauliche Dokumente bearbeitet.

(3) Abhören einer Netzverbindung im WLAN

So beliebt Wireless LANs auch sind, in Hinblick auf Datensicherheit sind sie ein Rückschritt in die Tage des alten Broadcast-Ethernet, in dem man durch geeignete Konfiguration einen Rechner dazu bringen konnte, den gesamten Datenverkehr im Netzwerk abzuhören.

Dies ist im heute vorherrschenden Switched-Ethernet nicht mehr möglich, sehr wohl jedoch in Wireless LANs, da diese ja die „alten“ Methoden benötigen, um Verbindungen aufbauen zu können.

Das Abhören eines WLAN’s, wenn man beispielsweise im Freien nahe des Unternehmens arbeitet (weil gerade ein sonniger Tag ist, und sich das Arbeiten im Gastgarten des nahe gelegenen Lokals anbietet) oder auch an einem Public Access Point (Zugangspunkten im öffentlichen Raum) ist leider fast schon trivial und für jemanden, der er es vielleicht auf Sie abgesehen hat, alles andere als ein Problem.

(4) Missbrauch der Software

In unbeaufsichtigten Momenten kann der Laptop natürlich auch zu Aktionen missbraucht werden, die nicht auffallen und trotzdem Schaden anrichten. Ein böses Mail beispielsweise an einen Kollegen, Vorgesetzten oder sogar Kunden kann, als Mittel der wirtschaftlichen Kriegführung eingesetzt, genug irreparablen Schaden verursachen.

(5) Datenzerstörung

Sofern der Angreifer genug Zerstörungswillen hat, reicht schon das Löschen der Daten, um Irritationen hervorzurufen und Schaden zu bewirken. Wird dieses Löschen mit einem professionellen Tool durchgeführt, so sind die Daten auch mit Sicherheit nicht mehr wiederherstellbar, es sei denn man verfügt über eine aktuelle Datensicherung auf einem Server im Unternehmen oder einem Band.

Glücklicherweise kann man den oben geschilderten Verfahren sehr effizient begegnen, in dem man zumindest eine der folgenden Gegenmaßnahmen verwendet. Je nach Vertraulichkeitsgrad der Daten sollte man diese Maßnahmen auch kombinieren, um den Schutz weiter zu erhöhen:

(1) Körperkontakt

Auf Reisen bzw unterwegs sollte man darauf achten, dass man mit der Tasche des Laptops ständig Körperkontakt hat. Dadurch erschwert man listigen Diebstahl und würde es vor allem sofort merken, wenn jemand versucht, die Tasche zu entwenden. In Warteschlangen sollte man die Tasche zwischen die Beine stellen, man muss sie natürlich im Flugzeug oder in der Bahn nicht ständig umklammert halten. Sichtkontakt sollte jedoch unterwegs immer vorhanden sein.

(2) BIOS-Passwort

Alle modernen Laptops verfügen über ein BIOS-Passwort, mit dem man den Zugang zum Computer noch vor dem Laden des Betriebssystems sperren kann. Damit hat man bereits eine erste, recht wirksame Hürde aufgebaut. Das Passwort sollte nicht leicht zu erraten sein, muss aber nicht extrem kompliziert sein, da es nicht der einzige Schutzmechanismus seins sollte.

Wenn man allerdings nur das BIOS-Passwort als einzige Schutzmaßnahme verwenden möchte, dann muss man die üblichen Richtlinien für „starke“ Passwörter einhalten, welche sind:

• 8 Zeichen Länge (mindestens)
• Groß- und Kleinbuchstaben verwenden
• Zahlen an zufälligen Stellen verwenden
• Keine sinnvollen Worte verwenden
• Keine Begriffe, die aus dem persönlichen Umfeld stammen

BIOS-Passwörter können typischerweise nur durch Öffnen des Geräts umgangen werden und sind daher in Summe durchaus wirksam, um unbefugte Inbetriebnahme des Gerätes zu verhindern.

(3) Systempasswort verwenden

Jedes moderne Betriebssystem, sei es Windows oder Linux teilt jedem Benutzer einen Benutzernamen und ein Passwort zu, die bei der Anmeldung an das System abgefragt werden.

Möchte man sicherstellen, dass der eigene Laptop nicht missbraucht werden kann und unbefugter Zugriff auf Netzwerkresourcen wie Server-Laufwerke, das Internet, etc. nicht stattfinden kann, so ist empfehlenswert, das Netzwerkpasswort stets zu verwenden, und es so zu gestalten wie oben in den Kriterien für starke Paswörter angeführt. Zusätzlich sollte man das Netzwerkpasswort zumindest alle zwei Monate, besser jedoch einmal im Monat, wechseln.

(4) Lokale Verschlüsselung

Als besonders effizientes Mittel des Informationsschutzes für Laptops hat sich die lokale Verschlüsselung bewährt. Dabei werden Teile der Festplatte oder die gesamte Festplatte mit einem sysmmetrischen Passwort oder auch einem Private-Key verschlüsselt und damit sichergestellt, dass unbefugte Benutzer, die den Laptop stehlen oder die Festplatte ausbauen, ohne Kenntnis des Passwortes oder Keys nicht an die Daten gelangen können.

Die meisten kommerziellen Produkte sind sehr einfach in der Handhabung, sodass der Benutzer bis auf die zusätzliche Passworteingabe nach Systemstart in keiner Weise behelligt wird.

Lokale Verschlüsselung ist aus Sicht des Standes der Technik und der internationalen Normen (z.B. ISO 17799) geradezu das bestgeeignete Mittel um die Informationssicherheit der gespeicherten Daten zu gewährleisten.

(5) Mail-Verschlüsselung

Wenn man den eigenen Laptop besonders oft in WLAN’s betreiben will, so sollte man auf die Verschlüsselung von E-Mail nicht verzichten. Dabei werden zumeist Public-Key Systeme verwendet, in denen man unter einander Public-Keys austauscht, die zum Verschlüsseln von Mail an den Empfänger verwendet werden und mit dem eigenen Private-Key empfange Mail wieder entschlüsselt.

E-Mail Verschlüsselung ist auch für stationäre PC’s ein gutes Mittel der Sicherstellung der Vertraulichkeit von Information, für Laptops jedoch besonders hervorzuheben, da WLAN in heutiger Technologie leider sehr leicht abgehört werden können. Daher bietet die Verschlüsselung von E-Mail die Möglichkeit, technologieunabhängig die Sicherheit der übertragenen Informationen gewährleisten zu können.

Wie so oft in der Informationssicherheit entscheidet letztendlich der richtige Mix aus Verhalten und Technologie über den erreichbaren Grad an Schutzwirkung; was wir oben vorgestellt haben sind Verfahren und Möglichkeiten, die heute jeder Benutzer verwenden kann, da sie leicht zu bedienen sind und die für den einzelnen kaum Mehraufwand bedeuten. Aus der Sicht der Kosten so muss man für Produkte zur lokalen Verschlüsselung und für E-Mail Verschlüsselung mit ca. 200 Euro pro Arbeitsplatz rechnen, was aus Sicht der Informationssicherheit und der gewonnen nervlichen Beruhigung im Bewusstsein, dass selbst wenn der Laptop gestohlen wird, nichts weiter Tragisches passieren kann, gut investierte Mittel sind.

Für PDA’s sei noch angemerkt, das bisher Produkte zur lokalen Verschlüsselung und E-Mail Verschlüsselung noch nicht ausgereift existieren, sodass für diese Geräte die System- und Netzwerkpasswörter die Träger der Informationssicherheit sind und letztendlich bei Verlust oder Diebstahl zur einzigen Hemmschwelle werden, um Angriffe auf die Informationssicherheit der gespeicherten Daten zu verhindern.

Mehr zu diesem Thema auf dieser Website: